Kuidas dokumenteerida VPN-i juurdepääsu kinnitusi ilma sirvimisajalooga
Jätke alles identiteet, kinnitaja ja aegumine ning jätke sihtkohtade loend kõrvale. Kolm tingimust otsustavad, kui suur osa juurdepääsuotsusest peab tegelikult toimikus olema.
Kaks meeskonda küsivad sama artefakti ja mõtlevad selle all erinevaid asju. Ülevaataja tahab tõendit, et nimega isik kinnitas rolli kuni kuupäevani, samas kui võrgumeeskonnal on tulemüüri logi täis sihtkohti ja eeldab, et see loeb. Ei loe, ja seetõttu täituvad kinnituskaustad hostinimedega ning kukuvad ikkagi esimese auditi küsimuse juures läbi. Mida tegelikult vaja on, on vähe, ja mitte miski sellest ei nõua kirja panemist, kus keegi sirvis.
Kirje suurus järgib kolme tingimust: kas kinnitus antakse isiku või rolli kohta, kas õigus võib üle elada isiku töösuhte ja kas leping või raamistik nimetab juurdepääsu ülevaatamist nõutava tõendina.
Alustage ülevaataja küsimusest, mitte ühendusest
Kirjutage üles küsimus, mille audiitor valjusti esitaks, enne kui valite ühegi välja. Kes kinnitas juurdepääsu sellele identiteedile, millele, milliste kuupäevade vahel ja kes pidi selle lõpuks eemaldama. Vormi iga väli peab vastama osale sellest lausest, ja kõik, mis seda ei tee, on inventeerimine, mille kaitsmise kohustuse te äsja endale võtsite.
See test eemaldab enamiku sellest, mis lisatakse harjumusest. Sihtkohtade loendid, DNS-päringud, rakenduste kasutusgraafikud ja reaalajas sessiooni ekraanipildid kirjeldavad kõik käitumist. Käitumine ei ole kinnitus, ja selle kogumine viib toimiku palju kõrgemasse tundlikkuse klassi, mis töötab vastu eesmärgile, millega alustasite.
Kolm tingimust otsustavad, kui palju hoida
Isikupõhised kinnitused vajavad identiteeti ja lõppkuupäeva. Rollipõhised kinnitused vajavad rolli, selle antavat ulatust ja populatsiooni omanikku, sest neljakümne inimese loetlemine ühes reas loob nelikümmend kirjet, mida hooldada, ja nelikümmend võimalust lahkumine märkamata jätta. Kui õigus võib töösuhte üle elada, lisage eemaldamise omanik ja ülevaatamise sagedus, sest aegumiskuupäev tabelis paneb harva kedagi tegutsema.
| Condition | Add to the record | Leave out |
|---|---|---|
| Approved per person | Identity, approver, expiry | Device telemetry |
| Approved per role | Role, scope, population owner | Per-user destinations |
| Outlives employment | Removal owner, review date | Session transcripts |
| Named in a contract | The cited artifact and its revision | A second, friendlier copy |
Kui raamistik nimetab juurdepääsu ülevaatamist nõutava tõendina, hoidke alles see artefakt, millele ülevaatamisprotsess juba viitab. Paralleelse koopia loomine VPN-i meeskonnale on viis, kuidas sama kinnituse kaks versiooni jõuavad lõppkuupäevas lahkarvamusele.
Väljad, mis kannavad otsust
Toimiv komplekt on lühike: kinnitatud identiteet, taotleja, kinnitaja, rolli või ressursi ulatus, põhjus ühel real, kehtivusaken, ülevaatamise või eemaldamise omanik ja viide piletile, kus taotlust põhjendati. Viidake seadmele või mandaadile mitte-salajase identifikaatoriga, näiteks vara silt või sertifikaadi subjekt, mitte kunagi kasutatud privaatvõtme või parooliga.
Käsitlege tulemust isikuandmetena, isegi kui see ei sisalda sihtkohti. Kirje, mis ütleb, et see nimega töötaja oli kuus kuud finantssegmendi administraatoriõigustega, on iseenesest tundlik, seega määratlege, kes tohib kausta lugeda, ja seadke hoidmisaeg halduseesmärgi jaoks, selle asemel et nimetada fail anonüümseks.
Kust sirvimisandmed kinnitusfaili hiilivad
Kolm leket seletavad enamikku. Kasutajatoepilet sisaldab ekraanipilti kliendi ühendusaknast, keegi kleepib konteksti jaoks SIEM-i ekspordi, või lisatakse kinnitusele inventuuriaruanne, sest tollal oli ühendamine lihtne. Iga manus lisab käitumist failile, millel oli vaja ainult otsust. Kui ekraanipilt on sees, hakkab ülevaataja küsima, milleni kasutaja jõudis, ja fail tuleb ümber klassifitseerida.
Asendage manused viidetega, kus tööriist seda lubab. Kui poliitika nõuab manust, küsige otsuse teksti ja taotluse lõime, mitte sessiooni salvestust, ning eemaldage ülejäänu enne faili salvestamist. Kinnitaja enda sõnum on tavaliselt parim tõend ja kõige vähem paljastav.
Kontrollige ulatust ilma jäljeta
Lüüsipoliitika on see, mis muudab kinnituse juurdepääsuks, seega testige seda otse. Logige sisse kontoga kinnitatud ulatuse sees ja jõudke lubatud ressursini, seejärel proovige sihtkohta väljaspool ulatust ja kinnitage keeldumine, kasutades klienti ja meetodit, mida poliitika eeldab, mitte brauseri kaarti samal hostil.
Kättesaadavuse jälgimine ja intsidentide diagnoosimine võivad hoida oma nähtavust, oma hoidmisaja ja oma juurdepääsuloendi all. Nende kahe eesmärgi lahus hoidmine on see, mis lubab teil ülevaatajale vastata ilma sirvimisjälge üle andmata, ja hoiab diagnoosi kasulikuna, kui midagi tõesti katki läheb.
Mida kontrollida enne järgmist ülevaatamist
Kinnitage, et vorm vastab audiitori lausele ega midagi enamat. Kontrollige, et igal real on kinnitaja, aken ja eemaldamise omanik. Seejärel vaadake kausta enda juurdepääsuloendit ja küsige, kas see on väiksem kui VPN-i kasutajabaas.
Viimane samm on see, mille inimesed vahele jätavad. Võtke aegunud kinnitus ja jälgige seda identiteedipakkujani, et näha, kas konto tõesti keelati. Kui identiteet on endiselt aktiivne, oli kirje täpne ja protsess mitte.